Warum Drag & Drop in Google Chrome bei emborado derzeit deaktiviert ist

Wir haben bei emborado schon seit einiger Zeit Drag & Drop in Google Chrome vorübergehend deaktiviert.

Der Grund ist kein Fehler in emborado, sondern ein Chrome-spezifischer Bug, der unter bestimmten Voraussetzungen Dateien beim Drag & Drop aus ZIP-Ordnern falsch an eine Website übergeben kann. Dabei können Dateiname und Dateiinhalt nicht mehr zusammenpassen oder einzelne Dateien fehlen.

Für eine Anwendung wie emborado, die Stickdateien nicht nur speichert, sondern auch interpretiert, ist das ein ernstes Problem. Deshalb haben wir uns entschieden, die betroffene Funktion in Chrome aus Sicherheitsgründen zu deaktivieren, bis der Fehler im Browser behoben ist.

Was genau ist das Problem?

emborado verarbeitet bereits Millionen von Dateien. Ein großer Teil davon sind Stickdateien, die in ZIP-Ordnern ausgeliefert werden. Genau dafür haben wir den ZIP-Upload in emborado entwickelt: Nutzerinnen und Nutzer sollen ihre Dateien möglichst einfach hochladen können, ohne vorher alles manuell entpacken und sortieren zu müssen.

Bei unseren umfangreichen Tests haben wir festgestellt, dass es in Google Chrome unter bestimmten Umständen zu einem Fehler beim Drag & Drop von ZIP-Ordnern kommen kann. Dabei können folgende Probleme auftreten:

• Der Dateiname sah korrekt aus.
• Der Dateityp war auf den ersten Blick plausibel.
• Der tatsächliche Dateiinhalt passte aber nicht zum Namen.
• In einigen Fällen konnten Dateien aus dem Drop-Vorgang fehlen.

Das ist besonders tückisch, weil die Datei für Frontend und Backend zunächst wie eine normale Upload-Datei aussieht. Der Browser liefert die fehlerhafte Kombination bereits beim Drop aus. Wenn also Chrome beim Drag & Drop eine Datei mit falschem Inhalt übergibt, kann eine Website das nicht zuverlässig erkennen, solange Name, Typ und Inhalt grundsätzlich plausibel wirken.

Anders gesagt: Das Problem entsteht, bevor emborado die Datei überhaupt korrekt prüfen oder verarbeiten kann.

Bitte unterstützt das Chromium-Ticket

Wir haben den Fehler gemeldet und reproduzierbar dokumentiert. Jetzt braucht das Thema Sichtbarkeit, damit es im Chromium-Projekt priorisiert behandelt wird.

Wenn du emborado nutzt oder selbst Webanwendungen betreibst, bei denen Nutzerinnen und Nutzer Dateien per Drag & Drop hochladen, hilft deine Unterstützung:

Bitte vote das Chromium-Issue hoch:
https://issues.chromium.org/issues/491140861

Je sichtbarer das Ticket wird, desto größer ist die Chance, dass der Fehler schneller behoben wird und Chrome Drag & Drop wieder zuverlässig unterstützt.

Wie wir den Chrome Drag-&-Drop-Fehler gefunden haben

Der Weg zu dieser Erkenntnis war technisch ziemlich aufwendig.

Wir haben zunächst in unserer eigenen Anwendung gesucht: Upload-Logik, Dateistrukturen, ZIP-Verarbeitung, Analyse der Stickdateien, Backend-Validierung, Originaldateien, Zeitpunkte des Uploads. Alles wurde mehrfach gegengeprüft.

Erst durch die Analyse auf Byte-Ebene wurde klar: Die Anomalie entsteht nicht in emborado. Sie entsteht bereits durch das Verhalten des Browsers beim Drag & Drop.

Danach haben wir den Fehler reproduziert, in einem kleinen Beispielprojekt nachgebaut und als Chromium-Issue eingereicht:

Chromium Issue 491140861: Chrome Drag & Drop bug

Das Ticket wurde angenommen. Bis der Fehler behoben ist, müssen wir aber davon ausgehen, dass Drag & Drop in Chrome für bestimmte ZIP-Szenarien nicht sicher genug ist.

Was du jetzt tun kannst

Du kannst emborado natürlich weiterhin normal nutzen. Wenn du bisher Chrome genutzt hast, hast du verschiedene Möglichkeiten, mit dem Problem umzugehen.

Option 1: emborado mit Firefox nutzen

Unsere Empfehlung ist aktuell: Nutze emborado mit Firefox, wenn du weiterhin bequem per Drag & Drop hochladen möchtest.

Nach unseren Tests ist der beschriebene Fehler Chrome-spezifisch. Mit Firefox kannst du Drag & Drop weiterhin verwenden und Dateien wie gewohnt in emborado hochladen.

Option 2: In Chrome die Upload-Buttons verwenden

Wenn du Google Chrome weiter nutzen möchtest, verwende bitte nicht Drag & Drop, sondern die Upload-Buttons in emborado.

Klicke dafür beim Hochladen auf die entsprechenden Buttons und wähle deine Dateien oder ZIP-Ordner über den Dateidialog aus. Dieser Weg umgeht den betroffenen Drag-&-Drop-Pfad und ist deshalb die sichere Alternative in Chrome.

Unser Fazit

Wir haben Drag & Drop in Chrome nicht deaktiviert, weil wir Uploads schwieriger machen möchten. Wir haben es deaktiviert, weil Datenintegrität wichtiger ist als Komfort.

Bis der Chrome Drag-&-Drop-Fehler behoben ist, gilt daher:

• Für Drag & Drop empfehlen wir aktuell Firefox.
• In Chrome bitte die Upload-Buttons verwenden.
• Unterstützt gern das Chromium-Ticket, damit das Problem schneller behoben wird.

Danke für euer Verständnis und eure Unterstützung. Wir halten euch auf dem Laufenden, sobald Chrome Drag & Drop wieder sicher nutzbar ist.